Gartner: zoek alternatief voor IIS-server

[The Source]

Woensdag, 26 september 2001 - 'Stop met IIS en stap over op een alternatief.' Dat is het ondubbelzinnige advies van Gartner naar aanleiding van de vele veiligheidsproblemen met de software.

Rest van het artikel is te vinden op: http://www.webwereld.nl/nieuws/8628.phtml

Zoals terecht wordt opgemerkt ligt het probleem veelal aan de beheerderskant omdat patches al lang aanwezig waren. Maar moeten we dan alle MCSE'ers die zo'n ISS bak beheren een trap onder hun kont geven? Of zijn apache sysadmins even lui maar zijn ISS exploits te gemakkelijk voor scriptkiddies?

Hoe denken jullie hierover? Updaten jullie regelmatig jullie servers? Of enkele als het moet of er tijd over schiet?

[Verwijderd]

Zie Slashdot.org

[HermeS]

deze vond ik zelf wel erg goed. (is oud)

By Ric Steinberger ([e-mail])

It's been a difficult year for IIS (Internet Information Server), Microsoft's flagship Web sever. Just this month, Microsoft has had to issue two serious security bulletins for this product:

MS01-023 : Unchecked Buffer in ISAPI Extension Could Enable Compromise of IIS 5.0 Server

MS01-026 : Superfluous Decoding Operation Could Allow Command Execution via IIS

Each of these bulletins describe flaws in the design of IIS that can allow an unauthorized remote user to gain complete control of the Web sever.

Earlier this year, other bulletins were issued for other serious problems with IIS:

MS01-014 : Malformed URL Can Cause Service Failure in IIS 5.0 and Exchange 2000

MS01-016 : Malformed WebDAV Request Can Cause IIS to Exhaust CPU Resources

Last year, Microsoft issued 100 security bulletins, and as of 17 May 2001, has issued 27 this year. Many of these vulnerabilities are quite serious. If exploited they could cause overload conditions, crashes, denials of service, inflict significant damage to the system (e.g., web site defacement), or allow an unauthorized attacker to gain administrative control of the system.

The most import question that needs to be asked regarding IIS is, "Why are so many large corporations still using this highly insecure, flawed product?" Possible explanations are:

It came with the operating system.
We're a Microsoft shop, so we use Microsoft products.
We're not familiar with other options.
Our consultants told us to use IIS.

Each of these explanations, which really should be seen as excuses, can be easily and powerfully refuted. The fact that a piece of software happens to be bundled with the installed software is hardly a good reason to use it. In fact, any fair and objective analysis of Web severs available today that takes into account security, robustness and overall reliability points out several viable alternatives to IIS. A sample of available alternatives may be found at: http://webcompare.internet.com/cgi-bin/quickcompare.pl.

It's clear that many large companies use a lot of Microsoft software. Most of the software is installed on the desktops and laptops of employees. This is a fairly safe decision: Most office automation software runs on Windows operations systems; many technical support people are familiar with Windows; there are several anti-virus products that can protect these systems from infections; they are relatively low cost and easy to replace; most new staff members will need little training because they already are familiar with Microsoft.

Yet, none of this is a good reason to use IIS as an Internet accessible Web sever. Using IIS represents an implicit decision to accept a much higher level of security risk than would be required if an alternative (more secure) Web server were chosen instead. This higher level of risk means a much greater chance that the Web sever will in fact be broken into, defaced, made unavailable, and/or used as a launch point for further attacks on the company network.

Not being familiar with other options is, if the truth be told, a feeble excuse. Given the widespread availability of information about Web severs and related technologies, for an IT manager to claim ignorance of any better alternatives than IIS is simple unacceptable. Here are a few more secure products that can be used as IIS replacements:

Apache
Sun Cobalt Server Appliance
iPlanet (Netscape) Enterprise Web Server
Zeus
Oracle Web Server and Application Environment
IBM Websphere

Lastly, if any company is running IIS because a consulting firm recommended it, it's time to switch consulting firms. Either the recommending firm is so blinded by Microsoft propaganda that they cannot begin to be objective, or they are simply unwilling to perform an objective analysis of available alternatives.

The bottom line is this: Continuing to use Microsoft's IIS as a corporate Internet accessible Web sever represents a significant security risk. This risk is much higher than the risk associated with other commercial quality Web severs available today. Companies that sell "hacking insurance" should be offering lower rates to companies that avoid using IIS.

Companies that continue using IIS need to begin exploring safer and more reliable alternatives. It's not necessary to change any desktop systems. But to fail to act now sends a powerful message to the hacking community: this message, bluntly put, is, "Hack me. I use IIS." If your company still uses IIS, it's time to "Just Say No!" and begin exploring safer more reliable alternatives. The Web sever you save may be your own.

[Milo]

Ok, ik zal hier ook eens wat over zeggen.

Ik denk, dat als je je systemen goed ingericht hebt, en goed onderhoud (eens in de 2 weken een patchje installeren), dat je systeem toch wel aardig veilig is. voor de hand liggend voorbeeldje: microsoft.com. Weet iemand nog wanneer die voor het laatst gehackt is? (en dan heb ik het niet over subsitejes als windowsupdate.microsoft.com of microsoft.com.br ofzo) Dat lijkt me toch best een aantrekkelijk doel voor scriptkiddies en dergelijke.

De hacks en wormpjes zijn effectief omdat bedrijven/beheerders totaal niet aan security denken(of amper). Ik werk nu een maand of 3 als beheerder hier, en toen ik binnenkwam waren de IIS servers zo lek als een mandje. Nu staan ze al een heeel stuk dichter. Nog steeds niet waterdicht, maar dat komt omdat ik nog meer te doen heb, en omdat het niet extreem hoge prioriteit heeft. Zo erg is het niet als een van onze sites gehacked word, en zo aantrekkelijk zijn ze ook niet.

Hoewel het een tijd geduurd heeft, begint MS door te hebben hoe het moet. Ze brengen roll-up patches uit, die voorgaande overbodig maken, maken patches die(zoveel mogelijk) geen reboot vereisen, ontwikkelen (in samenwerking met anderen) tools die de beveiliging van je servers vergemakkelijken, en wachten nog een tijdje met het uitbrengen van de XP/2002 servers. Ze zijn er nog niet, maar het word al beter, en als de beheerders ook hun werk doen, word het nog wel wat

Wat een ander, waarschijnlijk groter probleem is, is thuisgebruikers die voor de grap IIS installeren(of apache, maakt niet zoveel uit), en die niet patchen (heuh? wasda, een petsj?). Die staan dus en masse open voor dingen als code red en nimda. Hier kan MS weinig aan doen denk ik, behalve users ervan bewust maken via windows update, of (extreem voorbeeld) de service laten checken of er patches zijn, en als die niet gedraaid worden, niet meer opstarten (na een bepaalde periode oid.). Da's meteen ook een oplossing voor de pruts-beheerders.

[Onno]

Op woensdag 26 september 2001 16:17 schreef Milo het volgende:
thuisgebruikers die voor de grap IIS installeren(of apache, maakt niet zoveel uit)

Maar dat maakt dus *wel* uit.. als jij Apache installeert hoef je er *niet* eerst 20 patches overheen te gooien om enigszins veilig te zijn tegen aanvallen van rare wormpjes.

[igmar]

Ik denk, dat als je je systemen goed ingericht hebt, en goed onderhoud (eens in de 2 weken een patchje installeren), dat je systeem toch wel aardig veilig is. voor de hand liggend voorbeeldje: microsoft.com. Weet iemand nog wanneer die voor het laatst gehackt is? (en dan heb ik het niet over subsitejes als windowsupdate.microsoft.com of microsoft.com.br ofzo) Dat lijkt me toch best een aantrekkelijk doel voor scriptkiddies en dergelijke.

Daar zit een firewall voor. De systemen hangen daar dus niet rechtstreeks op. Genoeg om iig de worm te stoppen.

De hacks en wormpjes zijn effectief omdat bedrijven/beheerders totaal niet aan security denken(of amper). Ik werk nu een maand of 3 als beheerder hier, en toen ik binnenkwam waren de IIS servers zo lek als een mandje. Nu staan ze al een heeel stuk dichter. Nog steeds niet waterdicht, maar dat komt omdat ik nog meer te doen heb, en omdat het niet extreem hoge prioriteit heeft. Zo erg is het niet als een van onze sites gehacked word, en zo aantrekkelijk zijn ze ook niet.

IIS loopt onder admin privileges. Dat noem ik een grove designfout die niet goed te praten is.

Hoewel het een tijd geduurd heeft, begint MS door te hebben hoe het moet. Ze brengen roll-up patches uit, die voorgaande overbodig maken, maken patches die(zoveel mogelijk) geen reboot vereisen, ontwikkelen (in samenwerking met anderen) tools die de beveiliging van je servers vergemakkelijken, en wachten nog een tijdje met het uitbrengen van de XP/2002 servers. Ze zijn er nog niet, maar het word al beter, en als de beheerders ook hun werk doen, word het nog wel wat

Mee eens. Beheerders zijn gewoonweg vaak te lui. een M$ systeem patchen is gewoon een ramp vergeleken bij een Unix bak. Dat is echter geen excuus om dan maar geen patches te installeren.

Wat een ander, waarschijnlijk groter probleem is, is thuisgebruikers die voor de grap IIS installeren(of apache, maakt niet zoveel uit), en die niet patchen (heuh? wasda, een petsj?). Die staan dus en masse open voor dingen als code red en nimda. Hier kan MS weinig aan doen denk ik, behalve users ervan bewust maken via windows update, of (extreem voorbeeld) de service laten checken of er patches zijn, en als die niet gedraaid worden, niet meer opstarten (na een bepaalde periode oid.). Da's meteen ook een oplossing voor de pruts-beheerders.

Apache is heel wat minder lek als IIS. IIS is een closed systeem, en nog steeds vind men regelmatig bugs. De source van Apache is gewoon te downen, en de laatste echte grote lek is jaren geleden. Dit maakt IIS im mijn ogen extreem lek.

[HermeS]

Op woensdag 26 september 2001 16:17 schreef Milo het volgende:
Ok, ik zal hier ook eens wat over zeggen.

Ik denk, dat als je je systemen goed ingericht hebt, en goed onderhoud (eens in de 2 weken een patchje installeren), dat je systeem toch wel aardig veilig is.

het is toch te gek voor woorden dat je dit als systeembeheerder zegt? elke 2 weken een patch moeten installeren omdat je anders gehacked kan worden als je IIS hebt draaien,

Zou jij s'avond lekker kunnen slapen?
wat als je de patch net 1 dag telaat geinstalleerd hebt, en ze hebben volledige controle over je server.

Wie zegt dat hij niet ge(mis)bruikt gaat worden in een Ddos attack?

De hacks en wormpjes zijn effectief omdat bedrijven/beheerders totaal niet aan security denken(of amper). Ik werk nu een maand of 3 als beheerder hier, en toen ik binnenkwam waren de IIS servers zo lek als een mandje. Nu staan ze al een heeel stuk dichter. Nog steeds niet waterdicht, maar dat komt omdat ik nog meer te doen heb, en omdat het niet extreem hoge prioriteit heeft. Zo erg is het niet als een van onze sites gehacked word, en zo aantrekkelijk zijn ze ook niet.

Het is altijd een kwestie van geld. jammer alleen dat wanneer je gehacked bent het veel meer kost dan dat er voldoende tijd voor uitgetrokken werd.

Wat denk je trouwens dat er met je TCO gebeurd als je elke week je systeempjes moet patchen.

Hoewel het een tijd geduurd heeft, begint MS door te hebben hoe het moet. Ze brengen roll-up patches uit, die voorgaande overbodig maken, maken patches die(zoveel mogelijk) geen reboot vereisen, ontwikkelen (in samenwerking met anderen) tools die de beveiliging van je servers vergemakkelijken, en wachten nog een tijdje met het uitbrengen van de XP/2002 servers. Ze zijn er nog niet, maar het word al beter, en als de beheerders ook hun werk doen, word het nog wel wat

ik zou zelf toch voor veiligheid en kwaliteit gaan als ik een bedrijf zou zijn, dan dat mijn systeem elke maand contact zoekt met een MS server en daar iets ophaalt, waarvan ik geen flauw idee heb wat het is.

Wat een ander, waarschijnlijk groter probleem is, is thuisgebruikers die voor de grap IIS installeren(of apache, maakt niet zoveel uit), en die niet patchen (heuh? wasda, een petsj?). Die staan dus en masse open voor dingen als code red en nimda. Hier kan MS weinig aan doen denk ik, behalve users ervan bewust maken via windows update, of (extreem voorbeeld) de service laten checken of er patches zijn, en als die niet gedraaid worden, niet meer opstarten (na een bepaalde periode oid.). Da's meteen ook een oplossing voor de pruts-beheerders.

true true,
maar dat neemt niet weg dat het gewoon een pruts product is, en dat kun je niet afschruiven door tezeggen dat het aan de gebruikers ligt.

[HermeS]

[b]Op woensdag 26 september 2001 16:53 schreef igmar IIS loopt onder admin privileges. Dat noem ik een grove designfout die niet goed te praten is.

weet niet welke versie jij gebruikt, maar dat zijn in ieder geval niet de gangbare versie's die je in de winkel kan kopen hoor

[Verwijderd]

het grote verschil tussen iis en apache is dat als er een lek voor apache wordt ontdekt, dat meestal wordt ontdekt door iemand zonder verkeerde bedoelingen... die post het op een forum en in no time wordt de oplossing bedacht.... die je zelf kan aanpassen.....

microsoft wacht veel te lang met maken van patches en zoekt zelf nauwelijks naar lekken. scriptkiddies hebben hierdoor de kans om die scripts te gebruiken (e.g. de codered vulnerability was in MEI al bekend...)

overigens denk ik inderdaad dat als er een goede systembeheerder is de meeste lekken in iis zo gedicht zijn.
de meeste wormen worden dan ook verspreid door thuisgebruikers

[HermeS]

Op woensdag 26 september 2001 17:03 schreef betweter het volgende:
het grote verschil tussen iis en apache is dat als er een lek voor apache wordt ontdekt, dat meestal wordt ontdekt door iemand zonder verkeerde bedoelingen... die post het op een forum en in no time wordt de oplossing bedacht.... die je zelf kan aanpassen.....

in apache worden (bijna) geen security bug's ondekt. ik kan me er tenmiste geen een herineren (afgelopen jaar geloof ik 1 kleintje). meestal zijn het lekke cgi script, en die staan los van apache software.

[MoBi]

Op woensdag 26 september 2001 17:03 schreef betweter het volgende:
microsoft wacht veel te lang met maken van patches en zoekt zelf nauwelijks naar lekken. scriptkiddies hebben hierdoor de kans om die scripts te gebruiken (e.g. de codered vulnerability was in MEI al bekend...)

Patch tegen de bug waarvan code red gebruikt maakt was kort nadat hij ontdekt was al gepatched. Probleem was dat de meeste mensen die patch niet hadden geinstalleerd.

[Milo]

ok, toch nog maar een reply, hoewel ietwat laat.

Maar dat maakt dus *wel* uit.. als jij Apache installeert hoef je er *niet* eerst 20 patches overheen te gooien om enigszins veilig te zijn tegen aanvallen van rare wormpjes.

Als je een *nix install uit eind '99 hebt, zit daar vast ook wel een verouderde versie van apache bij. En de default install daarvan is vast ook niet helemaal waterdicht. Wat natuurlijk niet wegneemt dat MS best z'n producten wat dichter op de markt mag gooien, maarja, security kost tijd, en zo lang zijn ze er nog niet (serieus) mee bezig.

Overigens, misschien lijkt het wel alsof ik een enorme MS fan ben, da's niet zo, ik probeer alleen objectief te blijven, en niet mee te gaan met de anti-M$-rage. (oh, nog iets, ik ben *geen* MCSE-er)

Daar zit een firewall voor. De systemen hangen daar dus niet rechtstreeks op. Genoeg om iig de worm te stoppen.

Een firewall stopt een worm pas, als ie hem kent, wat dus te lang duurt(tenzij ie erg paranoide is ingesteld). Maar, ik had het niet over wormpjes in die alinea, maar over de MS servers. Het lijkt me dat een beetje hacker/cracker(zelfs script kiddies) amper moeite hebben met een firewall.

Mee eens. Beheerders zijn gewoonweg vaak te lui. een M$ systeem patchen is gewoon een ramp vergeleken bij een Unix bak.

Een ramp? In welk opzicht? Ik heb nu een aantal keer met dat bijltje gehakt, en als je het een beetje volgt is het amper werk. Helemaal dichtpatchen na een install iets meer, maar nog zo gebeurd.

het is toch te gek voor woorden dat je dit als systeembeheerder zegt? elke 2 weken een patch moeten installeren omdat je anders gehacked kan worden als je IIS hebt draaien,
Zou jij s'avond lekker kunnen slapen?
wat als je de patch net 1 dag telaat geinstalleerd hebt, en ze hebben volledige controle over je server.
Wie zegt dat hij niet ge(mis)bruikt gaat worden in een Ddos attack?

Ik slaap 's avond best lekker hoor.
Voordat er iets gebeurd met zo'n exploit, gaat er toch wel wat tijd overheen. En dan nog, de meeste van die exploits geven geen volledige controle over de server, en een groot gedeelte ervan is bij een verstandig ingerichte server ook totaal niet van toepassing(.printer en .htr mappings bijvoorbeeld).

Tis natuurlijk wel een vreemd beleid van MS om alles wat er met zo'n servertje kan, default ook maar aan te zetten. Daar komen ze nog wel achter, hoop ik voor ze.

ik zou zelf toch voor veiligheid en kwaliteit gaan als ik een bedrijf zou zijn, dan dat mijn systeem elke maand contact zoekt met een MS server en daar iets ophaalt, waarvan ik geen flauw idee heb wat het is.

Zo ver zijn ze nog niet, maar op zich zou dat best een idee zijn. Moet natuurlijk wel die server niet gehacked worden

Nog even wat over TCO en voor MS(IIS) kiezen:

Stel, je hebt een 6-tal servers draaien, en er komt elke 2 weken een patch uit die je *moet* draaien. Een patch draaien kost zo'n 5 a 10 minuten (inclusief testen) per server, dus da's in totaal 1 uur in de 2 weken, dus 2 uur per maand. Dat kost dus (stel dat je een *duur* gedatacheerd mannetje hebt zitten) hoogstens 400,-. Bij een systeembeheerder in dienst van het bedrijf iets van 120,-. Komt dus neer op 20,- tot 60,- per server per maand. Da's dus, in vergelijking met andere kosten, 2x niks.

Wij gebruiken IIS, en zullen daar voorlopig zeer waarschijnlijk ook niet vanaf stappen. Waarom?
-ASP
-draait al (overstappen kost tijd)
-(redelijk) eenvoudig beheer
-veilig genoeg

Ik denk dat dit voor veel bedrijven geldt. Ik ben benieuwd naar de volgende Netcraft survey.

[Verwijderd]

Op woensdag 26 september 2001 16:17 schreef Milo het volgende:
Ok, ik zal hier ook eens wat over zeggen.

Ik denk, dat als je je systemen goed ingericht hebt, en goed onderhoud (eens in de 2 weken een patchje installeren), dat je systeem toch wel aardig veilig is. voor de hand liggend voorbeeldje: microsoft.com. Weet iemand nog wanneer die voor het laatst gehackt is? (en dan heb ik het niet over subsitejes als windowsupdate.microsoft.com of microsoft.com.br ofzo) Dat lijkt me toch best een aantrekkelijk doel voor scriptkiddies en dergelijke.

Dit komt doordat microsoft zoveel vertrouwen in zijn produkt heeft dat ze er gelijk een dikke 200 machines voor neerzetten

Dus als er 1 gehacked wordt zetten ze die gewoon uit en niemand heeft iets in de gaten.

Voor je begint te roepen dat dit niet waar is: ping www.microsoft.com en doe dit een keer of 10

Nu staan ze al een heeel stuk dichter. Nog steeds niet waterdicht, maar dat komt omdat ik nog meer te doen heb, en omdat het niet extreem hoge prioriteit heeft. Zo erg is het niet als een van onze sites gehacked word, en zo aantrekkelijk zijn ze ook niet.

En bedankt voor het internet verrijken met nog een schietschijf. IMHO heb je als je een server op het internet hangt een zekere verantwoordelijkheid. Je mag geen server ophangen en vervolgens denken/zeggen/doen "Nog steeds niet waterdicht, maar dat komt omdat ik nog meer te doen heb, en omdat het niet extreem hoge prioriteit heeft." Het kan wel zijn dat jij er geen ruk om geeft maar er zijn mischien dadelijk andere mensen die de dupe zijn van een attack/hack vanaf jouw machine.

[jochemd]

Tsja, wat zullen we eens zeggen. Ik denk dat wat het artikel betreft de naam "Gartner Group" al voldoende zegt, zeker in combinatie met de vertaalcapaciteiten van webwereld. Het echte advies van Gartner staat hier

Wat jouw vragen betreft: sinds wanneer heb je MCSE nodig om een IIS bak te beheren? Zo moeilijk is het toch niet. Ik ga er eigenlijk van uit dat na een paar rechtzaken in de VS over downtime, Code Red and 'criminal negligence' de boodschap wel zal doordringen bij de beroepsgroep.

Verder draai ik een bak die bij mijn weten volledig gepatched is. Is ook niet zo moeilijk meer, het was tijdens de hoogtijdagen zaak om 34 patches te draaien om het dicht te krijgen. Nu is het een kwestie van NT, SP6a, NT Security Rollup Package, IIS Security Rollup Package en klaar (staat achter firewall met een paar poorten dicht, maar ook niet overdreven). Wel staan nieuwe patches er gemiddeld binnen 8 uur na publicatie op.

[Milo]

Dit komt doordat microsoft zoveel vertrouwen in zijn produkt heeft dat ze er gelijk een dikke 200 machines voor neerzetten

Dat lijkt me eerder wat met load-balancing te maken hebben dan met hack-risico/downtijd(maar dat wist je tuurlijk ook al).[quote]
Dus als er 1 gehacked wordt zetten ze die gewoon uit en niemand heeft iets in de gaten.[quote]

Dan moeten ze dus continu hun servers checken op defacement. Kan tuurlijk wel automatisch, maar toch.

Voor je begint te roepen dat dit niet waar is: ping www.microsoft.com en doe dit een keer of 10

een nslookup geeft 4 ip-adressen, maar ze zullen vast wel een flink serverpark hebben staan. De wonderen van load-balancing en clustering...

En bedankt voor het internet verrijken met nog een schietschijf. IMHO heb je als je een server op het internet hangt een zekere verantwoordelijkheid. Je mag geen server ophangen en vervolgens denken/zeggen/doen "Nog steeds niet waterdicht, maar dat komt omdat ik nog meer te doen heb, en omdat het niet extreem hoge prioriteit heeft." Het kan wel zijn dat jij er geen ruk om geeft maar er zijn mischien dadelijk andere mensen die de dupe zijn van een attack/hack vanaf jouw machine.

In principe heb je, zodra je welke machine dan ook aan het internet hangt, die verantwoordelijkheid. En mijn servers, up-to-date gepatched, lijken me toch iets moeilijker te misbruiken voor een attack/hack dan de talloze win'9x bakken (en andere makkelijk hackbare bakken) die kabel/adsl/lan aansluiting hebben.

Tis een afweging van moeite/resultaat/functionaliteit, net als bij alle beveiliging. Je kan wel je huis ombouwen tot bunker, maar dat duurt best lang, en vervolgens ziet het er niet meer uit en de ramen kunnen niet meer open.

Binnenkort ga ik ze een voor een opnieuw installeren (overgang naar w2k), en dan ga ik ze zo dicht mogelijk spijkeren. Maar dan moet ik wel eerst 20 sites verplaatsen, en dan heb ik het nog niet over de andere dingen die ik zoal doe.

Ik vraag me trouwens af, als die dDoS attacks zo makkelijk zijn, en er zoveel zombie machines zijn, waarom gebeurd er dan amper wat mee?